BKDR_DEXTR.D

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Este malware modifica la configuración de zona de Internet Explorer.

Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\Java Security Plugin\SecureDll.dll - keylogger module also detected as BKDR_DEXTR.D

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\Java Security Plugin\javaplugin.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\Java Security Plugin

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Windows_Stability_Mutex_1

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

HKEY_USERS\.DEFAULT\SOFTWARE\
Microsoft\Windows\CurrentVersion\
Run
Sun Java Security Plugin = "%Application Data%\Java Security Plugin\javaplugin.exe"

Infiltra los archivos siguientes:

• %Application Data%\Java Security Plugin\strokes.logyrgh
• %Application Data%\Java Security Plugin\strokes.logasdq

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\HelperSolutions Software

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\HelperSolutions Software
digit = "{GUID}"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val1 = "%Application Data%\Java Security Plugin\t"

HKEY_CURRENT_USER\Software\HelperSolutions Software
val2 = "%Application Data%\Java Security Plugin\t"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Associations
LowRiskFileTypes = ".exe;.bat;.reg;.vbs;"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Update (update copy)
• Checkin (set the delay it sends information)
• Scanin (set the delay it checks memory for information)
• Uninstall (uninstall itself)
• Download (download and execute a file)

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.14.69/a/gateway.php

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Robo de información

Recopila los siguientes datos:

• {GUID}
• Username
• Hostname
• Operating System
• Processor type
• List of running processes
• Key to decrypt sent information

Registra las pulsaciones de teclas de un usuario para robar información.